Alerta Crítico: Fortinet Adverte Sobre Falha Zero-Day no FortiMail Sendo Explorada

A vulnerabilidade CVE-2026-104286 no FortiMail representa um risco crítico. Com CVSS 9.8, a falha explora uma combinação de path traversal (CWE-22) e NULL byte (CWE-158) para permitir que atacantes não autenticados gravem arquivos arbitrários e executem código via requisições HTTP na interface de gerenciamento. Na prática, isso significa que a validação de caminhos de arquivo é burlada, e caracteres nulos são usados para encerrar prematuramente strings, acessando diretórios e arquivos que não deveriam ser alcançáveis. Este ataque direto à interface de administração de um gateway de e-mail pode comprometer a confidencialidade e integridade da comunicação empresarial.

Esta não é a primeira vez que a Fortinet enfrenta explorações zero-day em seus produtos. Em 7 de abril de 2026, o CEVIU News noticiou um alerta da CISA sobre uma falha crítica no Fortinet FortiClient EMS, um produto de gestão de endpoints, também sob exploração ativa. Embora sejam produtos distintos, ambos os casos destacam a mira dos atacantes em infraestruturas de segurança da Fortinet, reiterando a necessidade de vigilância constante e aplicação rápida de mitigações, especialmente quando agências como a CISA impõem prazos, como o dia 4 de outubro para esta falha no FortiMail.

A exploração ativa de uma vulnerabilidade zero-day em um gateway de e-mail como o FortiMail é extremamente preocupante. Este tipo de sistema é uma porta de entrada e saída crucial para informações sensíveis em qualquer organização. Uma falha que permite a execução de código arbitrário e a escrita de arquivos pode levar a ataques de phishing mais sofisticados, exfiltração de dados, ou até mesmo o uso do servidor comprometido como pivô para ataques internos. A CISA exigir mitigação imediata de agências federais sublinha a seriedade da ameaça para qualquer empresa que dependa do FortiMail.